⛔ [OBSOLETO] Activo en https://github.com/XiaoliChan/wmiexec-Pro

wmiexec-RegOut

Versión modificada de impacket wmiexec.py, wmipersist.py. Obtiene la salida (datos, respuesta) del registro, no necesita conexión SMB, pero estoy en el mal código :(

Tabla de contenido

• Resumen
• Requisitos
• Uso
• Trucos
• Pendientes
• Referencias

Agradecimientos especiales a:

• @rootclay, wechat: _xiangshan

Resumen

En el wmiexec.py original, obtiene respuesta de la conexión SMB (puerto 445, 139). Desafortunadamente, algunos antivirus monitorean estos puertos como de alto riesgo. En este caso, elimino la función de conexión SMB y uso otros métodos para ejecutar comandos.

• wmiexec-reg-sch-UnderNT6-wip.py: Ejecuta comandos usando la clase win32-scheduledjob. Según xiangshan, la clase win32-scheduledjob solo funciona en Windows NT6 (Windows Server 2003). Por cierto, win32_scheduledjob está deshabilitado por defecto después de Windows NT6. Aquí está la forma de habilitarlo:

Key: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\Configuration 
Name: EnableAt 
Type: REG_DWORD
Value: 1

• wmipersist-wip.py (Altamente recomendado, ¡¡¡solo funciona en impacket v0.9.24!!!): Una versión Python de WMIHACKER, de la cual tomé la plantilla VBS. Un atacante puede usarlo para movimientos laterales de manera segura bajo un antivirus en ejecución.

• wmiexec-regOut.py: Solo un ejemplo simple del método Win32_Process.create.

¿Cómo funciona?

• Flujo de trabajo de wmiexec-wip.py:

  Paso 1:

  • WMIC autenticado remotamente

  Paso 2:

  • Usa la clase win32process y llama al método create para ejecutar el comando. Luego, escribe el resultado en el directorio C:\windows\temp con el nombre [uuid].txt

  Paso 3:

  • Codifica el contenido del archivo a cadenas base64 (hay que esperar unos segundos)

  Paso 4:

  • Añade la cadena base64 convertida al registro, con el nombre de clave [uuid]

  Paso 5:

  • Obtiene las cadenas base64 remotamente y las descodifica localmente.

• Flujo de trabajo de wmipersist-wip.py:

  Paso 1:

  • Añade un script VBS personalizado a la clase ActiveScriptEventConsumer.

  Paso 2:

  • Crea un filtro de eventos.

  Paso 3:

  • Activa la clase FilterToConsumerBinding para PWNED!

Requisitos

Generalmente, solo necesitas instalar impacket oficial.

• Portal

Uso

• Uso de wmiexec-wip.py:

  Con contraseña en texto claro

  root@kitploit:~

  python3 wmiexec-reg.py administrator:[email protected] 'whoami'
  

  

  Con hashes NTLM

  root@kitploit:~

  python3 wmiexec-reg.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

  

• Uso de wmipersist-wip.py (por defecto sin salida):

  Con contraseña en texto claro (sin salida)

  root@kitploit:~

  python3 wmipersist-wip.py administrator:[email protected] 'command'
  

  

  Con hashes NTLM

  root@kitploit:~

  python3 wmipersist-wip.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

Trucos

• No olvides limpiar el directorio temporal después de ejecutar comandos con salida.
  Comando: del /q /f /s C:\windows\temp\*
  

• Comando que incluye comillas dobles.
  Pon comillas dobles dentro de comillas simples wevtutil cl '"security"'
  

Pendientes

• Nueva versión del toolkit wmi, próximamente :)

Referencias

• https://github.com/SecureAuthCorp/impacket/blob/master/examples/wmiexec.py
• https://github.com/360-Linton-Lab/WMIHACKER
• https://github.com/FortyNorthSecurity/WMIOps
• https://docs.microsoft.com/en-us/windows/win32/cimwin32prov/operating-system-classes